Bình thường, tôi rất skeptical (hoài nghi) về software security (bảo mật phần mềm). Tôi nghĩ một trong những main purposes (mục đích chính) của ngành công nghiệp phần mềm liên quan là scaremonger (gây sợ) mọi người để mua security products, để họ cảm thấy supposedly safe (an toàn cho rằng). Best example (ví dụ tốt nhất) của việc này sẽ là conflicting views (quan điểm mâu thuẫn) về tình trạng malware Windows trước sự demise (sụp đổ) của Windows XP, với một báo cáo của Microsoft cho thấy cách các phiên bản mới hơn của OS của nó an toàn hơn, và một báo cáo của công ty anti-malware tuyên bố exact opposite (ngược hoàn toàn). Điều này đưa stink eye (con mắt chán nản) của tôi đến chủ đề latest openSSL issue (vấn đề openSSL mới nhất).
Vài user, tức là nhiều hơn một, hỏi tôi elaborate (chi tiết) về điều này, given my rather cool approach (cách tiếp cận khá cool của tôi). Thực sự, đây không phải Windows, đây là Linux. Đây là Web. Đây là thứ hoàn toàn khác. Điều này nên thú vị.
Heartbleed trong vỏ hạt dẻ
Về bản chất, Heartbleed là một bug trong OpenSSL Heartbeat extension, cho phép Heartbeat requester (người yêu cầu) nhận arbitrary payload (tải trọng tùy ý) từ bộ nhớ thư viện OpenSSL trên target system (hệ thống mục tiêu). Nói cách khác, thay vì chỉ trả về dữ liệu cần thiết cho giao thức TLS communication, host được poll (được thăm dò) trả về nhiều hơn thế. Điều này effectively nghĩa là access (truy cập) đến các trang bộ nhớ không meant to be sent (đã định gửi) cho requester.
Và đó là nó. Bây giờ, vấn đề là điều này ảnh hưởng đến một số lượng lớn Web hosted services (dịch vụ được host trên Web) và sites, với một customer base (khách hàng) lớn. Đây là nơi Heartbleed issue trở nên nhiều hơn chỉ một bug khác.
Tại sao điều này xấu
Vâng, bạn nghe đúng. Tôi nghĩ đây là một serious issue (vấn đề nghiêm trọng). Nhưng không phải vì loại dữ liệu nào có thể đã được collected (thu thập) từ targeted sites. Đó là, và sẽ luôn là whole purpose (toàn bộ mục đích) của việc đánh cắp confidential information (thông tin mật). Đó là beside the point (bên lề).
Điều quan trọng là cách issue đến bear (giáng xuống). Heartbeat bug được gây ra bởi hai chief problems (vấn đề chính). Một, bad input validation (xác thực đầu vào tồi), unholy grail (thánh grail bất thiêng) của lập trình, khi code developer (nhà phát triển code) quên initialize (khởi tạo) biến của họ, check boundaries (kiểm tra ranh giới) hoặc return values (giá trị trả về). Main reason (lý do chính) tại sao người trong cubicle (căn hộ văn phòng) không thể trusted (tin cậy). Thật đáng tiếc, nó xảy ra thậm chí với the best (những người tốt nhất). Không có gì nhiều bạn có thể làm khi bạn go beyond the scope (vượt quá phạm vi) của Hello World!
Vấn đề thứ hai là developers của openSSL dùng implementation (triển khai) riêng của họ cho free và malloc, hai routine (thủ tục) dùng để grab (lấy) và release (giải phóng) chunks of memory (khối bộ nhớ) dynamically (động). Điều này nghĩa là họ nghĩ họ biết tốt hơn mọi người khác.
Vì vậy vâng, khi bạn break down (phân tích) vấn đề như vậy, nó annoying (phiền toái). Gần như như tai nạn Chernobyl (Chernobyl accident). Một chuỗi tiny issues (vấn đề nhỏ) chất đống thành một c.l.u.s.t.e.r. bouquet (hoa bó) của digital intercourse (giao hợp số).
Những gì bạn có thể làm - góc nhìn đúng
Có rất ít việc bạn có thể làm. Thật sự. Vấn đề chủ yếu ở server side (phía server). Đúng, nó cũng ảnh hưởng đến tất cả máy dùng vulnerable openSSL libraries (thư viện openSSL dễ bị tổn thương). Nhưng hãy tự hỏi bạn bao nhiêu lần thiết bị của bạn communicate directly (trực tiếp) với host khác dùng TLS, ngoài việc retrieve (lấy) thông tin từ Web, có thể connect đến gaming server, và thế?
Tuy nhiên, cho large sites (trang web lớn), tôi personally think (cá nhân nghĩ) rằng ngay cả khi họ có thể đã bị bleed (rò rỉ), volume of traffic (lượng traffic) lớn đến nỗi cần significant amount of computing power (lượng sức mạnh tính toán đáng kể) để process (xử lý) tất cả thông tin, và memory contents (nội dung bộ nhớ) có thể quá sparse (thưa) để tạo ra coherent view (góc nhìn mạch lạc).
Bây giờ, đây là hunch (đoán mò) của tôi, không phải mathematical thesis (luận án toán học), vì vậy stay off your vitriol (đừng nôn nao) và whatnot. Hãy suy nghĩ. Lấy Google, ví dụ. Nó có compute farms khổng lồ với hàng chục nghìn server cung cấp Web-related services, mỗi cái phục vụ hàng trăm request mỗi giây. Vì vậy ngay cả khi bạn heartbeat (nhịp tim) những tài nguyên này, nó cần một đống server của riêng bạn để lấy all the data. Cộng với, nếu ai đó đang làm việc chăm chỉ lấy all that lovely SSL stuff, họ có thể không muốn DoS (tấn công từ chối dịch vụ) những tài nguyên này. Thứ ba, ngay cả khi all the credentials (tất cả thông tin đăng nhập) có thể đã bị stolen (cắp), sniffing traffic (nghe lén traffic) trên switch network theo cách meaningful (có ý nghĩa) không phải chuyện dễ.
Tôi không mean (nghĩa) điều này để calm you down (làm bạn bình tĩnh). Đó không phải point (điểm). Bạn chỉ cần examine (xem xét) vấn đề theo cách rational (hợp lý). Vì vậy vâng, trong theory (lý thuyết) và có thể trong practice (thực tế), certain SSL data (dữ liệu SSL nhất định) có thể đã bị leaked (rò rỉ). Là precaution (biên phòng), một số website đã recommend (khuyên) bạn đổi password. Cân nhắc điều này. Nó không phải bad practice (thói quen xấu). Hơn nữa, two-factor authentication (xác thực hai yếu tố), và dùng different passwords (mật khẩu khác nhau) trên different sites cũng là ý tưởng tốt.
Một điều có thể slightly assuage your fears (làm dịu nỗi sợ hơi) là hầu hết worldwide install base (cơ sở cài đặt toàn cầu) trong corporate world (thế giới doanh nghiệp) đang chạy older versions (phiên bản cũ hơn) của enterprise flavors (phiên bản doanh nghiệp), mà mostly have not been affected (chủ yếu không bị ảnh hưởng). Bạn có thể dis (khinh thường) CentOS cũ và thế, vì chúng không modern (hiện đại) và cool, nhưng trong trường hợp này, có some use (một chút dùng) cho chúng sau tất cả.
Là một end user (người dùng cuối)
Bây giờ, nếu bạn muốn là một good trooper (chiến sĩ tốt), thì có một số việc bạn CÓ THỂ làm. Check (kiểm tra) xem popular sites của bạn có vẫn đang dùng bad version không. Nếu vậy, report (báo cáo), escalate (leo thang), ask for a fix (yêu cầu sửa). Đó là về nó từ phía user.
Passwords, vâng chúng ta đã nhắc trước. Chỉ nhớ rằng bug tinh tế này đã tồn tại từ đầu 2012, hơn hai năm trước. Bạn không aware (nhận ra) nó tất cả thời gian này, điều đó probably means (có nghĩa là có thể) vấn đề không có widespread (lan rộng), clandestine manifestation (biểu hiện bí mật). Và nếu nó có, thì ở đâu đó giữa hai năm trước và bây giờ, thông tin có thể đã bị leaked. Vì vậy bạn nên put things into the right perspective (đặt mọi thứ vào đúng bối cảnh).
Nếu bạn đang chạy site của riêng bạn, bạn có thể responsibly update (cập nhật có trách nhiệm) hệ thống, stop và start affected services (dịch vụ bị ảnh hưởng) để load new libraries vào memory, và quan trọng nhất, đảm bảo bạn không có任何 crappy applications (ứng dụng tồi) được phát triển bởi mediocre consultant companies (công ty tư vấn trung bình) dùng own, statically-compiled openSSL (openSSL biên dịch tĩnh riêng), điều đó effectively means (thực tế nghĩa là) họ sẽ không thấy hoặc dùng update của bạn.
Conspiracy (Âm mưu)
Tự nhiên, có một fresh new NSA surveillance conspiracy (âm mưu giám sát NSA tươi mới), tuyên bố three-letter agency (cơ quan ba chữ cái) biết về bug này nhiều năm. Nếu bạn hỏi tôi, điều này doubtful (nghi ngờ) vì hai công ty khác nhau, bao gồm engineers của Google và một công ty Phần Lan (i.e. không phải Mỹ) Codenomicon, reported (báo cáo) bug gần như simultaneously (đồng thời). Điều này nghĩa là something new came about (có điều gì mới xuất hiện).
Vì vậy, nếu bạn lo lắng về NSA, đây là remedy (cách chữa). Bạn familiar (quen) với Michael Mann không? Anh ta là dude (anh chàng) directed (đạo diễn) Miami Vice, check, Heat, check, và nhiều bộ phim tuyệt vời khác, bao gồm Manhunter, một phiên bản much, much better (tốt hơn nhiều, nhiều) của Hannibal Lecter thingie so với Red Dragon. Và theme song (bài hát chủ đề) là Heartbeat, cũng featured trong một trong nhiều stellar episodes (tập tuyệt vời) của Miami Vice. Bây giờ, nếu bạn listen to the song (nghe bài hát), bạn sẽ understand it perfectly clearly (hiểu nó hoàn toàn rõ ràng).
Heartbeat, heartbeat, listen to my hearbeat, oh-oh
Kết luận
Đây có lẽ là lần đầu tiên bạn sẽ nghe Dedoimedo nói rằng có một real security issue (vấn đề bảo mật thực sự) mà mọi người nên treat seriously (đối xử nghiêm túc), thay vì usual scaremongering (gây sợ thông thường). Vâng, memory leak (rò rỉ bộ nhớ) do Heartbleed gây ra không chỉ everyday malware nonsense (vô nghĩa malware hàng ngày). Cùng note (ghi chú), nó cũng là một issue sẽ primarily have to be addressed (chủ yếu phải được giải quyết) bởi companies và service providers. Vai trò của bạn trong game này nhỏ. Điều quan trọng là stay calm and rational (giữ bình tĩnh và hợp lý).
Chỉ nhớ, khi Internet backbones (xương sống) đau, lean back (ngả lưng) và watch (nhìn). Nó không xảy ra mỗi ngày, và nó là một refreshing change (sự thay đổi tươi mới) từ usual your PC might be at risk bullcrap (rác rối PC có thể bị rủi ro). Trong trường hợp này, nó bigger than you (lớn hơn bạn). Vì vậy relax (thư giãn).
Chúc vui.